Pierwszy dzień incydentu ransomware decyduje o tym, ile Państwo stracą, jak długo potrwa odtwarzanie i czy później da się wyjaśnić, co się stało. Odruchowo chce się wszystko wyłączyć i zacząć przywracać dane. Warto zwolnić na tyle, aby powstrzymać atak bez niszczenia dowodów, które będą potrzebne.
Godzina 0–1: powstrzymać atak bez niszczenia dowodów
Zaatakowane systemy należy odłączyć od sieci: wyjąć kabel, wyłączyć Wi-Fi, wyłączyć port przełącznika lub użyć funkcji izolacji w narzędziu do ochrony stacji końcowych. Jeśli zaatakowanych wydaje się kilka systemów lub całe podsieci, lepiej izolować je na poziomie przełączników niż komputer po komputerze.
Nie należy wyłączać komputerów, chyba że nie da się ich odłączyć od sieci. Przewodnik CISA #StopRansomware traktuje wyłączenie zasilania jako rozwiązanie awaryjne dla urządzeń, których nie można odłączyć od sieci, ponieważ wyłączenie niszczy dowody przechowywane w pamięci. Na razie nie należy też czyścić dysków, reinstalować systemów ani uruchamiać narzędzi do usuwania infekcji.
Notatkę z żądaniem okupu i zaszyfrowane pliki należy zostawić tam, gdzie są. Ekrany z notatką warto sfotografować.
Komunikacja poza zaatakowanymi kanałami
Trzeba założyć, że atakujący może czytać Państwa pocztę i komunikator. CISA zaleca kanały pozapasmowe (out-of-band), takie jak rozmowy telefoniczne, aby koordynować reagowanie bez ostrzegania atakującego. Należy zorganizować telekonferencję lub grupę w komunikatorze na urządzeniach, które nie były częścią zaatakowanego środowiska.
Trzeba wyznaczyć jedną osobę kierującą obsługą incydentu. Należy prowadzić pisemny dziennik z sygnaturą czasową każdej decyzji i każdego działania. Będzie potrzebny dla organów nadzoru, ubezpieczycieli i na potrzeby własnej analizy poincydentalnej.
Zabezpieczenie dowodów
Zanim cokolwiek zostanie odbudowane, należy zabezpieczyć to, czego będzie potrzebować dochodzenie:
- obraz dysku i zrzut pamięci z próbki zaatakowanych komputerów, zgodnie z zaleceniem CISA
- logi z zapór sieciowych, VPN, ochrony stacji końcowych, kontrolerów domeny, poczty i usług chmurowych
- notatkę z żądaniem okupu, kilka zaszyfrowanych plików i rozszerzenie pliku dodane przez złośliwe oprogramowanie
Logi w zaatakowanych systemach mogły zostać zmienione lub usunięte. Europejska Rada Ochrony Danych (EROD) ostrzega, że brak wpisu w logu nie dowodzi, że dane nie zostały wyprowadzone, i zaleca przesyłanie logów na centralny serwer. Dostępne logi należy wyeksportować, zanim ustawienia retencji je nadpiszą.
Ustalenie zakresu
Zaszyfrowane pliki pokazują, gdzie atak się zakończył, a nie gdzie się zaczął. CISA zaleca poszukiwanie złośliwego oprogramowania z wcześniejszych etapów ataku i oznak kradzieży danych. Warto spróbować odpowiedzieć na cztery pytania:
- Które systemy i dane zostały zaszyfrowane lub naruszone?
- Z których kont korzystał atakujący? Należy szukać nowych kont, kont z niedawno podniesionymi uprawnieniami i nietypowej aktywności administratorów.
- Jak atakujący dostał się do środka? Warto sprawdzić np. zdalny dostęp bez MFA, niezałatane systemy dostępne z internetu i niedawne e-maile phishingowe.
- Czy dane zostały skopiowane na zewnątrz? Należy przejrzeć logi zapory sieciowej i serwera proxy pod kątem dużych transferów wychodzących.
Od ostatniego pytania w dużej mierze zależy Państwa sytuacja prawna, dlatego każdą niepewność należy traktować jako „możliwe, że tak”, dopóki nie da się tego wykluczyć.
Reset danych logowania we właściwej kolejności
Trzeba założyć, że atakujący zna wszystkie dane logowania używane lub przechowywane w zaatakowanym systemie. Reset należy przeprowadzać z czystego urządzenia, nigdy z komputera w zaatakowanej sieci.
Reset w czasie, gdy atakujący nadal ma przyczółek, może po prostu przekazać mu nowe hasła. Lista kontrolna CISA przewiduje pełny reset po oczyszczeniu i odbudowie środowiska. Mimo to wcześniej może być potrzebny awaryjny reset najbardziej uprzywilejowanych kont, aby odciąć dostęp. Kolejność należy uzgodnić z zespołem reagowania. Rozsądna kolejność to:
- Administratorzy domeny i tożsamości w chmurze oraz konta awaryjne (break-glass)
- Administratorzy kopii zapasowych, hiperwizorów i pamięci masowej
- Administratorzy zdalnego dostępu, VPN i zapór sieciowych
- Konta usług, zwłaszcza te z szerokimi uprawnieniami
- W Active Directory konto
krbtgt, dwukrotnie. Wytyczne Microsoft dotyczące odtwarzania lasu wyjaśniają, dlaczego potrzebne są dwa resety i ile czasu należy odczekać między nimi. - Wszyscy pozostali użytkownicy, z unieważnieniem istniejących sesji i tokenów
Sprawdzenie kopii zapasowych, zanim się na nich polega
CISA zauważa, że wiele odmian ransomware wyszukuje dostępne kopie zapasowe i usuwa je lub szyfruje. Przed zaplanowaniem odtwarzania należy potwierdzić, które kopie są nienaruszone, kiedy wykonano ostatnią czystą kopię i czy da się z niej przywrócić dane.
Najpierw należy przywracać do odizolowanego środowiska. CISA ostrzega, że przed odbudową z kopii zapasowych trzeba znaleźć droppery i podobne narzędzia z wcześniejszych etapów ataku. W przeciwnym razie razem z danymi można przywrócić problem.
Terminy prawne i regulacyjne
Kilka terminów może zacząć biec w chwili, gdy dowiedzą się Państwo o incydencie. Biegną one równolegle.
| Przepis | Kiedy ma zastosowanie | Termin | Komu zgłosić |
|---|---|---|---|
| Art. 33 RODO | Naruszenie dotyczy danych osobowych, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób | Bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin | Organ nadzorczy ds. ochrony danych |
| Art. 23 NIS2 | Są Państwo podmiotem kluczowym lub ważnym, a incydent jest poważny | Wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca | Krajowy zespół CSIRT lub właściwy organ |
| KVKK (Turcja) | Naruszenie dotyczy danych osobowych przetwarzanych na podstawie prawa tureckiego | Niezwłocznie, najpóźniej w ciągu 72 godzin | Turecka Rada Ochrony Danych Osobowych |
Ransomware jest zwykle naruszeniem dostępności, a często także poufności. W przykładach omówionych przez EROD atak przy dobrej kopii zapasowej i bez wyprowadzenia danych może nie wymagać zgłoszenia, ale nadal musi zostać udokumentowany wewnętrznie zgodnie z art. 33 ust. 5. Atak bez użytecznej kopii zapasowej lub z kradzieżą danych co do zasady wymaga zgłoszenia. Jeśli osobom grozi wysokie ryzyko, np. z powodu kradzieży dokumentów tożsamości, trzeba je również zawiadomić.
Do dotrzymania tych terminów nie są potrzebne pełne odpowiedzi. Zgłaszanie w ramach NIS2 jest z założenia etapowe, a zgodnie z art. 33 ust. 4 RODO informacje można przekazywać stopniowo, bez dalszej zbędnej zwłoki. Należy też sprawdzić polisę ubezpieczenia od ryzyk cybernetycznych, która może określać własne wymogi zgłoszeniowe, i zawiadomić policję o przestępstwie.
Płacić czy nie płacić
Brytyjskie NCSC i brytyjskie organy ścigania nie zachęcają do płacenia okupu ani go nie aprobują. Zapłata nie gwarantuje odzyskania danych. Systemy nadal będą zainfekowane, a organizacja może ponownie stać się celem. Projekt No More Ransom, wspierany przez Europol i policję holenderską, publikuje bezpłatne narzędzia deszyfrujące dla niektórych rodzin ransomware, dlatego warto zacząć od sprawdzenia tej strony.
Zapłata może być też niezgodna z prawem. Biuro Kontroli Aktywów Zagranicznych (OFAC) Departamentu Skarbu USA ostrzega, że płacenie okupu osobom objętym sankcjami może naruszać amerykańskie przepisy sankcyjne. Kary cywilne mogą być nakładane niezależnie od winy (odpowiedzialność na zasadzie ryzyka). Rozporządzenie UE 2019/796 w sprawie cyberataków zakazuje udostępniania środków osobom w nim wymienionym. Decyzja o ewentualnej zapłacie należy do kierownictwa, doradców prawnych i organów ścigania, a nie do zespołu IT w środku nocy.
Czego nie robić
- Nie wyłączać komputerów, chyba że nie da się ich odizolować.
- Nie podłączać ponownie ani nie przywracać systemów, zanim nie będzie wiadomo, jak atakujący dostał się do środka.
- Nie negocjować z atakującym ani mu nie odpowiadać bez porady ekspertów i prawników.
- Nie rozmawiać o incydencie przez firmową pocztę lub komunikator, które mogą być monitorowane.
- Niczego nie usuwać, łącznie z notatką z żądaniem okupu.
Od czego zacząć, zanim to się wydarzy
- Wydrukować plan reagowania na incydenty i listę kontaktów oraz przechowywać kopie poza siecią.
- Z góry ustalić, kto może zatwierdzić odłączenie systemów.
- Utrzymywać co najmniej jedną kopię zapasową, której nie da się usunąć danymi logowania administratora, i testować przywracanie.
- Już teraz spisać kontakty do zgłoszeń w ramach RODO, NIS2 i KVKK.
- Zapewnić sobie wsparcie w reagowaniu na incydenty, zanim będzie potrzebne.
Jeśli właśnie mierzą się Państwo z incydentem, nasz zespół reagowania na incydenty pomoże go powstrzymać i przejść przez opisane kroki.
